FORENSIC INSIGHT; DIGITAL FORENSICS COMMUNITY IN KOREA
Codegate 2013 Forensic Write-ups
Deok9
http://deok9.org
forensicinsight.org Page 2
Contents of Table
1. Forensic 100
2. Forensic 200
3. Forensic 300
4. Forensic 400
5. Forensic 500
forensicinsight.org Page 4
Forensic 100
์ง๋ฌธ์์ ์ ์ถํ ์ ์๋ ๋ด์ฉ
โข ์ค๋งํธํฐ์ ์ถ๊ฐ์ ์ผ๋ก ์ ๊ณต ๋ฐ์ ๊ฒ์ผ๋ก ๋ณด์, ์ค๋งํธํฐ ๊ด๋ จ๋ Artifacts ๋ฌธ์ ์์ ์ ์ถ
โข PC์์ ๋ด๋ถ๋ฌธ์๋ฅผ ์ ๋ก๋ ํ์๋ค๊ณ ํด๋น PC ์ด๋ฏธ์ง๋ฅผ ๋ฌธ์ ํ์ผ๋ก ์ ๊ณตํ ๊ฒ์ด ์๋๋ผ,
์ค๋งํธํฐ ์ฆ๊ฑฐ๋ฅผ ๋ถ์ ์ค์ธ PC์ ์ด๋ฏธ์ง๋ฅผ ๋ฌธ์ ํ์ผ๋ก ์ ๊ณตํ ๊ฒ
์ง๋ฌธ ํ์ธ
์ง๋ฌธ ๋๋ฌธ์ ์ ๊ทผ์ ํผ๋์ ๊ฐ์ง ์ฐธ์ฌ์๊ฐ ์กด์ฌ
forensicinsight.org Page 5
Forensic 100
๋๋ต์ ์ธ ์ด๋ฏธ์ง ๊ตฌ์กฐ ํ์ธ ๊ฒฐ๊ณผ
โข NTFS ํ์ผ ์์คํ + 10๊ฐ์ ํด๋ ์กด์ฌ
โข ๊ฐ๊ฐ ํด๋ ๋ด๋ถ์๋ /***.app/***.plist ํ์ผ์ด ์กด์ฌ
์ด๋ฏธ์ง ํ์ผ ํ์ธ
์์ดํฐ ์ฑ??
forensicinsight.org Page 6
Forensic 100
์ ๋ก๋์ ๊ด๋ จ๋ ์ฑ์ Dropbox๊ฐ ๊ฐ์ฅ ์ ๋ ฅ
์๋๋ฆฌ์ค
โข PC์์ ๋ด๋ถ ๋ฌธ์๋ฅผ Dropbox๋ฅผ ํตํด ์ ๋ก๋
โข ์์ดํฐ์ Dropbox ์ฑ์ ์ด๋ฅผ ๋๊ธฐํ ํ์๊ณ , ํด๋น ์ ๋ณด๋ Cache์ ๋จ์
์ ๊ทผ์
โข Dropbox์ ์ฑ Cache๋ ~/Library/Caches/Cache.db๋ก ์ ์ฅ
์ ๊ทผ์ ํ์
๋งฅ์ ๊ฒฝ์ฐ ๋์ฒด๋ก ~/Library/Caches์ Cache
์ ์ฅ
forensicinsight.org Page 7
Forensic 100
SQLite Browser๋ฅผ ํตํด ๋ด๋ถ ๋ฐ์ดํฐ ํ์ธ
โข tim_folder๊ฐ ์์ฌ์ค๋ฌ์
โข tim_folder ์ data๋ base64 ์ธ์ฝ๋ฉ๋ ๊ฐ
์ ๊ทผ ๋ฐ์ดํฐ ํ์ธ
forensicinsight.org Page 8
Forensic 100
๋ณตํธํ๋ฅผ ์งํํ๋ฉด ์๋์ ๊ฐ์ Plist ํ์ผ์ด ์ถ์ถ๋จ
โข ํ์ผ๋ช ์ด S-Companysecurity.pdf ์ธ ๊ฒ์ผ๋ก ๋ณด์ ์ ๋ก๋ ํ ๋ด๋ถ ๋ฌธ์๋ผ ํ๋จ
โข ์ฒซ ๋ฒ์งธ NS.time์ ์ ๋ก๋ ์๊ฐ, ๋ ๋ฒ์งธ NS.time์ ์์ ์๊ฐ
๋ณตํธํ ํ ํ์ธ
์์ ์๊ฐ์ด ์ ๋ก๋ ์๊ฐ๋ณด๋ค ์ด์
forensicinsight.org Page 9
Forensic 100
๊ฐ ์๊ฐ ๊ฐ์ MAC Absolute Time์ผ๋ก ๋ณํ
โข Bias๋ UTC +09:00 ์ด๋ผ๊ณ ์ง๋ฌธ์ ๋ช ์๋์ด ์์์
์ธ์ฆ ํค ๊ฐ
2012-12-27 17:55:54 _2012-05-01 17:46:38 _S-Companysecurity.pdf_2.1MB
์ธ์ฆ
forensicinsight.org Page 10
Forensic 200
- It is so easy too
- Torrent Artifacts
- But, I solved this problem using $Logfile
- Thanks to BlueAngel
forensicinsight.org Page 11
Forensic 200
์ง๋ฌธ์์ ์ ์ถํ ์ ์๋ ๋ด์ฉ
โข ๋ค์ด๋ก๋ ๋ ๋์์ ํ์ผ์ ์ด๋ฏธ ์ญ์ ๋์๊ณ , ํ์ผ ๋ค์ด๋ก๋ ํ์ ์ ์ฐพ์ผ๋ผ๋ ๋ฌธ์
โข ์๋ฌธ์ 1. ๋ค์ด๋ก๋ ํ์ ์ ์ฐพ์ ํ, ํด๋น ํ์ผ์ด ์๋ ์๋๋ฌผ์ธ์ง ์ฌ๋ถ๋ ์ด๋ป๊ฒ ํ๋ณ?
์ง๋ฌธ ํ์ธ
๋ฌธ์ ํ์ด ํ ์์์ง๋ง ํ ๋ ํธ ํ์ผ์ 1๊ฐ ๋ฟ
forensicinsight.org Page 12
Forensic 200
์ค์น๋ ํ์ผ์ ํ์ธํ๊ธฐ ์ํด AppData๋ฅผ ํ์ธํ๋, uTorrent ์กด์ฌ
โข uTorrent๊ฐ ๋ฒ์ฃ์์ ๋ค์ด๋ก๋ ํ๋ก๊ทธ๋จ์์ ์ถ์ธก ๊ฐ๋ฅ
โข uTorrent๋ฅผ ํตํด ์ด๋ค ํ์ผ์ ๋ค์ด๋ก๋ ํ๊ณ ์ญ์ ํ์๋์ง ํ์ธํ๊ธฐ ์ํด $Logfile ๋ถ์
์ด๋ฏธ์ง ํ์ผ ํ์ธ
๋์๋ผ ! NTFS Log Tracker
forensicinsight.org Page 13
Forensic 200
uTorrent ์คํ ํ ํ์ผ ์์ฑ ํ์ ๋ฐ๊ฒฌ
โข ์ ์ ์์น์ ํ์ผ์ด ์์ฑ๋๋ ๊ฒ์ผ๊น?
$Logfile ํ์ธ
forensicinsight.org Page 14
Forensic 200
uTorrent ํด๋์ settings.dat ํ์ผ์ Bencode Editor๋ก ํ์ธ
โข dir_completed_torrents / dir_torrent_files ๊ฒฝ๋ก ํ์ธ
โข ํด๋น ๊ฒฝ๋ก๋ $Logfile์์ ๋ฐ๊ฒฌํ uTorrent ์คํ ํ ์์ฑ๋ ํ์ผ์ ๊ฒฝ๋ก์ ์ผ์น
052b585f1808716e1d12eb55aa646fc4984bc862 ํ์ผ์ด ์ฆ๊ฑฐ ํ์ผ์์ ์ง์
๊ฒฝ๋ก ์ค์ ํ์ธ
forensicinsight.org Page 15
Forensic 200
ํด๋น ํ์ผ์ ์ฒซ ๋ถ๋ถ์ TorrentRG.com ๋ฌธ์์ด ์กด์ฌ
โข ํด๋น ํ์ผ์ uTorrent๋ฅผ ์คํ ํ settings.dat ์ ์ค์ ๋ ์ ๊ฒฝ๋ก์ ์์ฑ๋ Seed ํ์ผ
โป dir_completed_torrents ๊ฒฝ๋ก๋ ๋ค์ด๋ก๋ ์๋ฃ ์ ์๋ณธ Seed ํ์ผ์ด ์์ฑ๋๋ ๊ฒฝ๋ก
์ด๋, ์์ฑ ์๊ฐ์ด ํด๋น ๋ค์ด๋ก๋ ์๋ฃ ์๊ฐ
052b585f1808716e1d12eb55aa646fc4984bc862 ํ์ผ ํ์ธ
forensicinsight.org Page 16
Forensic 200
ํด๋น ํ์ผ ๋ณต๊ตฌ ํ MD5 Hash ๊ฐ ํ์ธ
์ธ์ฆ ํค ๊ฐ
449529C93EF6477533BE01459C7EE2B4_2012/12/24_13:45:43
์ธ์ฆ
forensicinsight.org Page 18
Forensic 300
Find Key . . .
๋ฌธ์ ํ์ผ์ docx ํ์ผ 1๊ฐ
โข docx ํ์ผ์ด ๋ฌธ์ ๋ก ์ฃผ์ด์ง ๊ฒฝ์ฐ ๋๋ถ๋ถ ooXML ํฌ๋งท์ ํน์ง์ ์ด์ฉํ Data Hidden ๋ฌธ์
Documen.xml.rels ํ์ผ์ ํตํด ํ์ผ ๊ด๊ณ ํ์ธ
์ง๋ฌธ ํ์ธ
forensicinsight.org Page 19
Forensic 300
์ค์ media ์์๋ image6.emf ํ์ผ์ด ์จ๊ฒจ์ ธ ์์
โข ํด๋น ํ์ผ ํ์ธ ๊ฒฐ๊ณผ doc ํ์ผ์ด๋ฉฐ, ๋ฌธ์ ๋ด์ฉ์ โ2013โ ์ด๋ผ๋ ๋ถ์ ๋ฌธ์์ด
์์ํ ํ์ผ ๋ฐ๊ฒฌ
forensicinsight.org Page 20
Forensic 300
โcompare the docxโ
โข Compare ๊ธฐ๋ฒ์ ์ด์ฉํ ๊ฒ๋ค์ ์ฃผ๋ก Steganography์ ์ฐ๊ด
๋ฐ์ดํฐ๊ฐ ์จ๊ฒจ์ง ํ์ผ์ ํน์ง๊ณผ ์จ๊ฒจ์ง์ง ์์ ํ์ผ์ ํน์ง์ ๋น๊ต
Google์ ooXML Steganography ๊ฒ์
โข โSteganography with ooXML โ์ด๋ผ๋ ์ ๋ช ํ Tool ์กด์ฌ
โข ๊ณ ๋ ค๋์์ ooXML Steganography ๋ ผ๋ฌธ์ ๋ฒ์ญํ PPT ๋ฌธ์๋ ๋ฐ๊ฒฌ
New Steganographic Techniques for the OOXML File Format โ 18๊ธฐ ์ค์งํ
ํด๋น PPT ๋ฐ ๋ ผ๋ฌธ์ OOXML์ ๊ดํ ๋ค์ํ Steganography ๊ธฐ๋ฒ๋ค์ ์ธ๊ธ
ํํธ๊ฐ ์ฃผ์ด์ง
forensicinsight.org Page 21
Forensic 300
โ2013โ์ Tool์์ ์ง์ํ๋ AES Decryption Key ์์ Guessing
Tool ์ฌ์ฉ
forensicinsight.org Page 22
Forensic 300
Decompressed ๋ โstego_unpack_04.03.2013_19.50.59.txtโ ํ์ธ
์ธ์ฆ ํค ๊ฐ
c0d2gate~2o13!!F0r2nsic!!!!!
2๋ฒ์งธ ํํธ โExtra field entryโ๊ฐ ์ธ์ฆ ํ ๋์ด
โข ์ด๋ฅผ ํตํด ์ฒซ๋ฒ์งธ hint๊ฐ docx ํ์ผ 2๊ฐ์ Extra field๋ฅผ ๋น๊ตํ๋ ๊ฒ์ ํ์ธ
โข Image 6์ Extra field๋ฅผ ์๋ณธ ๋ฌธ์ ํ์ผ(f300.docx)์ ๋น๊ตํ๋ ์๋์ ๊ฐ์ AES ๊ฐ ๋ฐ๊ฒฌ
์ธ์ฆ
forensicinsight.org Page 24
Forensic 400
Find Key . . .
๋ฌธ์ ํ์ผ์ Disk Image ํ์ผ ์ด๋ฉฐ FTK Imager๋ฅผ ํตํด ํ์ธ
โข Black & Hole ํด๋๊ฐ ์กด์ฌํ๋ฉฐ, B(115).jpg ์ ADS๋ก ๋ฐ์ดํฐ๊ฐ ์จ๊ฒจ์ ธ ์์์ ํ์ธ
์ง๋ฌธ ํ์ธ
forensicinsight.org Page 25
Forensic 400
ADS์ ํน์ ํ์ผ์ ์จ๊ฒจ ๋์๋ค๋ ๊ฒ์ ๋ฌธ์ ํ์ด์ ๊ฒฐ์ ์ ์ธ ํ์ผ์ผ ๊ฐ๋ฅ์ฑ ๋์
โข Byte ๋ถํฌ๋๋ฅผ ์ดํด๋ณธ ๊ฒฐ๊ณผ ์ฐจ์ด ์์ด ๊ฑฐ์ ๊ท ๋ฑํ ๋ถํฌ๋ฅผ ๋๊ณ ์์
โข ํดํน๋ํ์์ ์ด๋ด ๊ฒฝ์ฐ ๋๋ถ๋ถ Truecrypt ์ด๋ฏธ์ง์ผ ๊ฐ๋ฅ์ฑ 90%(์์ฃผ ์ถ์ ๋จ)
Truecrypt Image๋ฅผ ๋ง์ดํธ ํ๊ธฐ ์ํ Key ๊ฐ์?
โข Black ๊ณผ Hole์ ์ ์ ํ ์ด์ฉํด ๋ณด์
ADS ํ์ผ ํ์ธ
forensicinsight.org Page 26
Forensic 400
์๊ฐ ์์ผ๋ก ์ ๋ ฌ
โข ์ค์ 5์๋ ์์ญ๊ณผ 9์๋ ์์ญ์ผ๋ก ํ์ฐํ ๊ตฌ๋ถ ๊ฐ๋ฅํ๋ฉฐ, 9์๋ ์์ญ์ ํ์ผ์ ์ด 27๊ฐ
โข 9์๋ ์์ญ JPG ํ์ผ๋ค์๋ Offset 0x20 ~ 0x21 ์ง์ ์ ์์๋ฅผ ๋ํ๋ด๋ ์ซ์๊ฐ ํ๊ธฐ
Black ํด๋ ํ์ธ
ํน์ ์์๋ฅผ ๋ํ๋ธ ํ์ผ๋ก ์ง์๋จ
forensicinsight.org Page 27
Forensic 400
์๊ฐ ์์ผ๋ก ์ ๋ ฌ
โข 9์๋ ์์ญ์ ํ์ผ์ ์ด 27๊ฐ๋ก ๋์ผ
โข 9์๋ ์์ญ JPG ํ์ผ๋ค์๋ ๋ชจ๋ Footer ๋ค์ Slack์ 1Byte ๋ฌธ์๊ฐ ์กด์ฌ
โข 1Byte ๊ฐ 27๊ฐ = 7y_5n4_10221CuPw7R73_rrK9Pd
Hole ํด๋ ํ์ธ
ํน์ ๋ฌธ์๋ฅผ ๋ํ๋ธ ํ์ผ๋ก ์ง์๋จ
forensicinsight.org Page 28
Forensic 400
Fuzzyhash ๊ฐ ๋น๊ต๋ก ๋ชจ๋ ๊ธ์์ ์์๋ฅผ ๋ง์ถค
โข โ7ru3CyP7_P422w0Rd_57r1n9_K1โ ๋ผ๋ ๋ฌธ์์ด์ด ๋์ค๊ฒ๋จ
โข l33t ์ธ์ด์ด๋ฉฐ, Truecrypt_Password_String_Key ๋ก ๋ฒ์ญ ๊ฐ๋ฅ
Truecrypt์์ ADS์์ ์ถ์ถ๋ Truecrypt ์ด๋ฏธ์ง๋ฅผ ํด๋น ํค ๊ฐ์ผ๋ก ๋ง์ดํธ
ํ์ธ
forensicinsight.org Page 29
Forensic 400
์ธ์ฆํค ๊ฐ์ ๋ง์ดํธ๋ Truecrypt ์ด๋ฏธ์ง์ ์กด์ฌํ๋ key.txt ํ์ผ ๋ด์ฉ
EyE Am ph33l1n6 lu(ky
์๊ฒฌ
โข ์ง๋ฌธ ์์ด ๋จ์ ์ด๋ฏธ์ง๋ง ๊ฐ์ง๊ณ ๋ฌธ์ ํ๊ธฐ์๋ ์ด๋ ค์์ด ์์์
โข ๊ธฐ์ ์ ์ธ ์ ๋ง ๋๋ฌด ๊ณ ๋ คํ์ง ์์๋ ์๊ฐํจ
๊ทธ๋ฌ๋ ๊ธฐ์ ์ ์ผ๋ก ํน์ดํ ๊ฒ๋ ์์์
โข Black ํด๋์ ๊ทธ๋ฆผ์์ ์์๋ผ๋ ๊ฒ์ ์ ํฉ์ ์ฐพ๊ฒ ํ๋๋ก ์๋ ํ๋ค๋ฉด ๋ ์ข์์ ๋ฏํจ
โข ๋๋ถ๋ถ์ ํ๋ค์ด Fuzzyhash ๊ฐ ์๋ ๋ฌธ์์ด ๊ฒ์ฑ์ผ๋ก Truecrypt ํค ๊ฐ์ ์ถ์ถ
์ธ์ฆ
forensicinsight.org Page 31
Forensic 500
๋ฌด์จ ๋ง์ผ๊น โฆ
โข ๋ณต๊ตฌ๋ ํค ์ด๋ฏธ์ง ํ์ผ ๋ ผ๋ฆฌ์ ํ์ผ Hash ๊ฐ?
Key image file์ ๋จผ์ ์ฐพ์๋ณด์
์ง๋ฌธ ํ์ธ
forensicinsight.org Page 32
Forensic 500
Key ํ์ผ ๋ฐ๊ฒฌ
โข R-Studio ๋ก ๋ณต๊ตฌํ ํ์ผ์ ๊ฒฝ์ฐ ์ถ์ถ๋ ํ์ผ์ Hash๊ฐ์ผ๋ก ์ธ์ฆ ๊ฐ๋ฅ
โข 500์ ๋ฌธ์ ์ธ๋ฐ ๋ช ๋ถ๋ง์ 20๊ฐ ์ด์์ ํ์ด ์ธ์ฆํจ
์ฐธ๊ฐ์๋ค์ด ๋ฌธ์ ํธ๋ ๋ฐฉ์์ ๊ณ ๋ คํ์ง ์์ ๋์ด๋ ์กฐ์ ์ ์คํจ
Data Carving ์ํ
forensicinsight.org Page 33
Forensic 500
MFT ์์ k3y2013.jpg ํ์ผ ํ์ธ
โข Non-resident ์์ฑ๊ณผ ์ด์ ๋ฐ๋ฅธ Cluster Runs์กด์ฌ
โข Logical File ์ด๋, Cluster Runs๋ฅผ ๋ฐ๋ผ๊ฐ์ ๋ณต๊ตฌํ ํ์ผ์ ์๋ฏธ?
Logical File Hash?
forensicinsight.org Page 34
Forensic 500
K3y2013.jpg Cluster Runs
โข Offset 3์ 0xE456์ ์์๋ฅผ ๋ํ๋(-0x1BAA)
Cluster Size/Start Offset ํ์ธ
โข Cluster Size : 0x0200 * 0x0008 = 0x1000
โข Start Offset : 0x10000
Cluster Runs ํ์ธ
๊ฐ ๊ตฌ์กฐ ์ค๋ช
22 3D 02 B7 06 2Byte Length, 2Byte Offset Length 1 : 0x023D * Cluster Size Offset 1 : 0x06B7 * Cluster Size + Start Offset
22 DF 00 F3 28 2Byte Length, 2Byte Offset Length 2 : 0x00DF * Cluster Size Offset 2 : 0x28F3 * Cluster Size + Offset 1
22 78 01 56 E4 2Byte Length, 2Byte Offset Length 3 : 0x0178 * Cluster Size Offset 3 : 0xE456 * Cluster Size + Offset 2
forensicinsight.org Page 35
Forensic 500
Offset 1 : 0x06B7 * Cluster Size(0x1000) + Start Offset(0x10000) = 0x6C7000
Length 1 : 0x023D * Cluster Size(0x1000) = 0x23D000
โข 0x6C7000 ~ 0x904000 ์ง์ ๊น์ง 1๋ฒ์งธ Fragmented Data
๋จ์ ๋ฐ๋ณต ํ์ฌ ํ์ผ ์์ฑ
๋ณต๊ตฌ ์์
forensicinsight.org Page 36
Forensic 500
ํด๋น ํ์ผ์ Hash ๊ฐ์ ์ธ์ฆํ๋ฉด ์ธ์ฆ์ด ๋์ง ์์
โข Cluster ๋จ์๋ก ๋จํธํ๋ ๋ฐ์ดํฐ๋ฅผ ํฉ์ณค๊ธฐ ๋๋ฌธ์ ์ธ๋ฐ ์๋ 0x00 ๊ฐ์ด ๋ค์ด๊ฐ๊ธฐ ๋๋ฌธ
๋ณต๊ตฌ๋ ํ์ผ ํ์ธ
forensicinsight.org Page 37
Forensic 500
JPG ํ์ผ์ Footer์ธ FF D9 ๊น์ง ์๋ผ๋
ํด๋น ํ์ผ MD5 Hash ๊ฐ ํ์ธ
์ธ์ฆ ํค ๊ฐ
597EB84759C836CF9889E07770FFACF7
์๋ฌธ์
โข ์๋ ์ด๋ ๊ฒ ๋ณต๊ตฌ๋ ํ์ผ์ Logical File์ด๋ผ ๋ถ๋ฅด๋์ง?
โข ์ด๋ ๊ฒ ๊ตฌ์กฐ๋ฅผ ๋ฐ๋ผ๊ฐ์ ๋ณต๊ตฌํด ์ฃผ๋ Tool์๋ ์ด๋ค ๊ฒ์ด ์๋์ง?
์์ ํ ์ธ์ฆ